Cloudflare kun je inzetten om verkeer naar je website via het netwerk van Cloudflare te laten verlopen. Hierdoor kun je onder andere ongewenst verkeer filteren, beveiligingsregels instellen en de impact van grote hoeveelheden botverkeer beperken.

Cloudflare-account aanmaken

Ga naar de website van Cloudflare en maak een account aan. Gebruik hiervoor bij voorkeur een e-mailadres waar jij (en e.v.t. je team) zelf blijvend toegang toe hebt. Het Cloudflare-account en de bijbehorende instellingen blijven namelijk in jouw beheer.

Na het aanmaken van het account moet je mogelijk eerst je e-mailadres bevestigen.

Na het inloggen kom je terecht in het Cloudflare-dashboard.

Je domein toevoegen

Ga binnen Cloudflare in het linkermenu naar Domains > Overview, en klik rechtsboven op Add domain.

Vul de domeinnaam in waarvoor je het verkeer via Cloudflare wilt laten verlopen en volg de stappen in Cloudflare.

Cloudflare kan tijdens dit proces vragen welk abonnement je wilt gebruiken. Welke optie geschikt is, hangt af van je situatie en de functies die je nodig hebt. Voor veel basisconfiguraties is het gratis abonnement voldoende om te beginnen.

Na het toevoegen verschijnt het domein in het overzicht onder Domains.

Klik op het domein om de configuratie ervan te openen.

Controleer de DNS-records

Voordat de authoritatieve nameservers daadwerkelijk naar Cloudflare worden gewijzigd, is het belangrijk om de DNS-zone goed in te stellen te controleren.

Open hiervoor je domein in Cloudflare en ga naar DNS > Records.

Cloudflare probeert bestaande DNS-records meestal automatisch over te nemen. Controleer desondanks zorgvuldig of alle benodigde records aanwezig zijn.

Denk hierbij bijvoorbeeld aan:

• het A- of CNAME-record van het hoofddomein;
• het www-record;
• eventuele andere gebruikte subdomeinen;
• MX-records voor e-mail;
• SPF-, DKIM- en DMARC-records;
• verificatierecords voor bijvoorbeeld Microsoft 365 of andere externe diensten.

Ontbreekt een record, dan kun je dit via Add record toevoegen.

Proxied en DNS only

Bij veel DNS-records kun je kiezen tussen Proxied en DNS only.

• Bij Proxied wordt verkeer via Cloudflare geleid. Dit wordt aangegeven met een oranje wolkje. Alleen verkeer dat via een proxied record loopt, kan gebruikmaken van de betreffende Cloudflare-beveiligingsfuncties.
• Bij DNS only geeft Cloudflare alleen het DNS-antwoord terug en loopt het daadwerkelijke verkeer rechtstreeks naar de betreffende server. Dit wordt aangegeven met een grijs wolkje.

Voor de website zet je het betreffende A- of CNAME-record normaliter op Proxied.

Geef de Cloudflare-nameservers door

Nadat het domein aan Cloudflare is toegevoegd, wijst Cloudflare twee eigen nameservers aan het domein toe.

Je kunt deze terugvinden via: DNS > Settings > Cloudflare Nameservers.

Heb je de registratie van het domein via ons lopen, stuur de Cloudflare-nameservers dan door aan ons per mail (aan helpdesk@proserve.nl), of via het helpdesk-portaal (helpdesk.proserve.nl). Vervolgens kunnen wij deze als authoritatieve nameservers aanwijzen. 

Verloopt de registratie bij een andere partij? Stuur hen dan de nieuwe nameservers door, of wijzig het in het klantenpaneel van de andere partij indien mogelijk. 
Enkel het wijzigen van NS-records via DirectAdmin / Plesk zal niet het gewenste resultaat geven.

Zodra de nameserverwijziging actief wordt, wordt Cloudflare namelijk verantwoordelijk voor de DNS-zone.
Het verwerken van een nameserverwijziging kan enige tijd duren. Wij laten je weten wanneer de wijziging aan onze kant is doorgevoerd.

Controleer of Cloudflare actief is

Nadat de nameservers zijn gewijzigd, controleert Cloudflare automatisch of het domein correct naar de toegewezen nameservers verwijst.

Wanneer dit is afgerond, hoort het domein binnen de Overview in Cloudflare de status Active te krijgen.

Controleer daarna in ieder geval:

• of het hoofddomein bereikbaar is;
• of www bereikbaar is, indien gebruikt;
• of formulieren en inlogpagina's werken;
• of eventuele API's en externe koppelingen nog functioneren;
• of e-mail nog correct wordt afgeleverd.

SSL/TLS instellen

Ga binnen het domein naar SSL/TLS > Overview.

Klik op Configure om de encryptiemodus te bekijken of aan te passen.

Wanneer er op de achterliggende webserver een geldig SSL-certificaat aanwezig is, adviseren we om Full (strict) te gebruiken.

• Met Full (strict) is zowel het verkeer tussen de bezoeker en Cloudflare als het verkeer tussen Cloudflare en de webserver versleuteld. Cloudflare controleert daarnaast of het certificaat op de achterliggende server geldig is.
• Gebruik Flexible niet zonder specifieke reden. In deze modus is de verbinding tussen Cloudflare en de achterliggende webserver niet via HTTPS beveiligd. Dit kan daarnaast bij websites die zelf HTTPS afdwingen tot ongewenst gedrag of redirectproblemen leiden.

Aanvullende security rules instellen

Cloudflare biedt de mogelijkheid om eigen beveiligingsregels aan te maken. Hiermee kun je bijvoorbeeld verkeer blokkeren of uitzonderingen maken voor bepaalde bezoekers of externe diensten.

Ga hiervoor naar Security > Security rules.

Klik op rechtsbovenin op Create rule om een nieuwe regel aan te maken.

Welke regels zinvol zijn, hangt sterk af van de website en het verkeer dat je verwacht. Gebruik de voorbeelden hieronder daarom niet zonder eerst te bepalen of ze voor jouw situatie geschikt zijn.

Voorbeeld: verkeer beperken op basis van land

Wanneer een website uitsluitend bedoeld is voor bezoekers uit een beperkt aantal landen en je ziet dat je website wordt belaagd door IP's uit andere landen, kun je ervoor kiezen om verkeer uit andere landen te blokkeren.

Een regel kan bijvoorbeeld worden opgebouwd rondom de locatie van het bron-IP-adres.

In het getoonde voorbeeld is alleen verkeer uit een aantal vooraf bepaalde landen toegestaan. Welke landen je toestaat, moet je aanpassen aan je eigen doelgroep.

Voorbeeld: een vertrouwde externe dienst uitzonderen

Sommige externe diensten moeten je website kunnen bereiken zonder door bepaalde beveiligingsregels te worden tegengehouden. Je kunt hiervoor een Skip-regel maken op basis van bijvoorbeeld de IP-adressen die de betreffende leverancier gebruikt.

Omdat IP-adressen van externe diensten kunnen wijzigen, moet je dergelijke uitzonderingen zelf blijven controleren en onderhouden.

Voorbeeld: bots of crawlers uitzonderen

In sommige situaties wil je voorkomen dat een bekende zoekmachine of crawler door een strengere beveiligingsregel wordt geblokkeerd. Cloudflare biedt gelukkig verschillende mogelijkheden om uitzonderingen te maken.

In het getoonde praktijkvoorbeeld wordt gekeken naar de User-Agent van Googlebot. Let wel: een User-Agent kan door een andere bezoeker kan worden nagebootst. Gebruik alleen een dergelijke uitzondering wanneer je begrijpt welke beveiligingscontroles hierdoor worden overgeslagen.

Volgorde van Security Rules

De volgorde van regels is belangrijk. Cloudflare verwerkt custom rules in de ingestelde volgorde. Een uitzondering moet daarom bijvoorbeeld worden uitgevoerd vóór een regel die hetzelfde verkeer anders zou blokkeren.

Op de pagina Security rules kun je de huidige volgorde en acties van de regels bekijken en aanpassen:

Wat kun je doen bij aanhoudend veel ongewenst verkeer?

Wanneer je website plotseling veel botverkeer of andere ongewenste requests ontvangt, controleer dan eerst of de webrecords daadwerkelijk op Proxied staan. Als een record op DNS only staat, loopt het verkeer niet via de Cloudflare-webproxy.

Bekijk vervolgens binnen Cloudflare onder Security en Analytics welk verkeer je ontvangt en welke beveiligingsmaatregelen worden toegepast.

Aan de hand daarvan kun je bijvoorbeeld een gerichte Security Rule maken op basis van:

• land;
• IP-adres of IP-bereik;
• URL of pad;
• andere eigenschappen van de binnenkomende request.

Probeer regels zo gericht mogelijk te maken. Een brede blokkade kan behalve ongewenst verkeer ook normale bezoekers, zoekmachines of externe koppelingen blokkeren.

Cloudflare biedt daarnaast functies zoals Under Attack Mode voor situaties waarin een website tijdelijk met grote hoeveelheden ongewenst verkeer te maken krijgt. Ook hierbij geldt dat de impact per website kan verschillen en dat de werking na inschakeling gecontroleerd moet worden.

Ondersteuning/beheer door Proserve?

Cloudflare is een externe dienst en wordt niet door ons beheerd. Dit artikel is bedoeld om je op weg te helpen met een basisconfiguratie en bevat voorbeelden die gebaseerd zijn op eerdere ervaringen.

Welke Cloudflare-instellingen en beveiligingsregels noodzakelijk of wenselijk zijn, verschilt per website. Je blijft daarom zelf verantwoordelijk voor de inrichting en het beheer van je Cloudflare-account, maar we kunnen voor zover mogelijk wel adviseren.

Wanneer voor het activeren van Cloudflare een wijziging van de nameservers nodig is, kun je de door Cloudflare toegewezen nameservers aan ons doorgeven, mits het domein in kwestie bij ons is geregistreerd. Wij kunnen die wijziging voor je uitvoeren.